搜索

[16566] 2021-03-18_技术分享直接系统调用开启WDigest凭证缓存

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-18_技术分享直接系统调用开启WDigest凭证缓存 技 术 分 享   |   直 接 系 统 调 用 开 启 W D i g e s t 凭 证 缓 存 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 3 - 1 8 W d T o g g l e 技 术 技 术 W d T o g g l e 技 术 本 质 上 来 说 ， 是 C o b a l t   S t r i k e   B e a c o n   O b j e c t   F i l e （ B O F - 信 标 对 象 文 件 ） 的 一 种 概 念 验 证 ， 它 可 以 使 用 直 接 系 统 调 用 来 开 启 W D i g e s t 凭 证 缓 存 并 尝 试 绕 过 凭 证 守 护 程 序 。 本 技 术 的 开 发 与 实 现 基 于 前 辈 的 下 列 工 作 ： 本 技 术 的 开 发 与 实 现 基 于 前 辈 的 下 列 工 作 ： 1 、 《 探 索 M i m i k a t z - 第 一 部 分 - W D i g e s t 》 2 、 《 绕 过 凭 证 守 护 程 序 》 通 过 B O F 代 码 中 的 内 联 程 序 集 使 用 直 接 系 统 调 用 ， 提 供 了 一 种 更 为 安 全 地 与 L S A S S 进 程 交 互 的 操 作 方 式 ， 而 且 使 用 直 接 系 统 调 用 可 避 免 A V / E D R 软 件 拦 截 用 户 模 式 A P I 调 用 。 V i s u a l S t u d i o （ C + + ） 不 支 持 X 6 4 处 理 器 的 内 联 汇 编 。 因 此 ， 为 了 编 写 包 含 编 译 / 汇 编 代 码 的 单 个 信 标 对 象 文 件 （ B O F ） ， 我 们 必 须 使 用 M i n g w - w 6 4 （ G C C   f o r   W i n d o w s ） 编 译 器 。 W d T o g g l e 库 库 为 了 方 便 大 家 实 验 W d T o g g l e 技 术 ， 我 们 专 门 提 供 了 一 个 【 G i t H u b 库 】 供 大 家 使 用 。 这 个 库 的 主 要 作 用 如 下 ： 这 个 库 的 主 要 作 用 如 下 ： 演 示 使 用 内 联 程 序 集 进 行 直 接 系 统 调 用 的 用 法 ， 以 提 供 与 L S A S S 进 程 交 互 的 更 为 安 全 的 操 作 方 式 。 通 过 在 L S A S S 进 程 中 将 g _ I s C r e d G u a r d E n a b l e d 变 量 切 换 为 1 来 启 用 W D i g e s t 凭 据 缓 存 ( w d i g e s t . d l l 模 块 ） 。 通 过 在 L S A S S 进 程 中 将 g _ I s C r e d G u a r d E n a b l e d 变 量 切 换 为 0 来 绕 过 凭 证 保 护 （ 如 果 启 用 ） ( w d i g e s t . d l l 模 块 ） 。 使 用 信 标 对 象 文 件 （ B O F ） 在 信 标 （ B e a c o n ） 进 程 中 执 行 此 代 码 。 如 何 配 置 实 验 环 境 如 何 配 置 实 验 环 境 在 这 里 ， 我 们 并 不 打 算 给 大 家 提 供 已 编 译 好 的 源 码 ， 因 此 大 家 需 要 自 行 动 手 完 成 代 码 编 译 。 首 先 ， 我 们 需 要 使 用 下 列 命 令 将 W d T o g g l e 项 目 源 码 克 隆 至 本 地 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / o u t f l a n k n l / W d T o g g l e . g i t
确 保 你 已 经 正 确 安 装 了 M i n g w - w 6 4 编 译 器 。 如 果 使 用 的 是 m a c O S 的 话 ， 我 们 可 以 使 用 下 列 命 令 来 安 装 M i n g w - w 6 4 ： 接 下 来 ， 运 行 下 列 命 令 来 编 译 信 标 对 象 文 件 （ B O F ） ： 在 一 个 C o b a l t s t r i k e   B e a c o n 上 下 文 环 境 中 ， 运 行 i n l i n e - e x e c u t e 命 令 并 提 供 对 象 W d T o g g l e . o 文 件 的 路 径 。 然 后 ， 运 行 C o b a l t s t r i k e 的 l o g o n p a s s w o r d s 命 令 （ M i m i k a t z ） ， 别 忘 了 针 对 新 用 户 登 录 或 未 锁 定 桌 面 会 话 的 用 户 要 再 次 开 启 密 码 清 理 选 项 。 限 制 条 件 限 制 条 件 这 种 技 术 无 法 实 现 重 启 持 久 化 ， 因 此 设 备 重 启 后 我 们 需 要 重 新 运 行 代 码 。 w d i g e s t ! g _ f P a r a m e t e r _ U s e L o g o n C r e d e n t i a l 和 w d i g e s t ! g _ I s C r e d G u a r d E n a b l e d 全 局 变 量 的 内 存 偏 移 量 可 能 会 因 W i n d o w s 操 作 系 统 版 本 的 不 同 而 发 生 改 变 。 大 家 可 以 使 用 W i n d o w s 调 试 器 工 具 来 查 看 并 添 加 自 己 对 应 系 统 版 本 的 偏 移 量 ： 检 测 方 式 检 测 方 式 要 通 过 L S A S S 内 存 访 问 检 测 凭 证 盗 窃 ， 我 们 可 以 使 用 S y s m o n 之 类 的 工 具 ， 可 以 将 S y s m o n 配 置 为 记 录 打 开 l s a s s . e x e 文 件 过 程 。 应 用 此 配 置 后 ， 我 们 可 以 为 访 问 L S A S S 进 程 的 可 疑 进 程 收 集 遥 测 信 息 ， 并 帮 助 检 测 可 能 的 凭 据 转 储 活 动 。 当 然 ， 我 们 还 有 更 多 的 选 项 来 检 测 凭 证 被 盗 ， 例 如 使 用 W i n d o w s   D e f e n d e r   A T P 之 类 的 高 级 检 测 平 台 。 但 是 ， 如 果 你 没 有 足 够 的 预 算 和 豪 华 的 设 备 去 使 用 这 些 平 台 的 话 ， 那 么 S y s m o n 是 一 个 免 费 的 工 具 ， 可 以 帮 助 填 补 空 白 。 W d T o g g l e 运 行 界 面 运 行 界 面 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / o u t f l a n k n l / W d T o g g l e . g i t s u d o   p o r t   i n s t a l l   m i n g w - w 6 4 m a k e C : P r o g r a m   F i l e s   ( x 8 6 ) W i n d o w s   K i t s 1 0 D e b u g g e r s x 6 4 > c d b . e x e   - z   C : W i n d o w s S y s t e m 3 2 w d i g e s t . d l l 0 : 0 0 0 > x   w d i g e s t ! g _ f P a r a m e t e r _ U s e L o g o n C r e d e n t i a l 0 0 0 0 0 0 0 1 ` 8 0 0 3 6 1 b 4   w d i g e s t ! g _ f P a r a m e t e r _ U s e L o g o n C r e d e n t i a l   =   < n o   t y p e   i n f o r m a t i o n > 0 : 0 0 0 >   x   w d i g e s t ! g _ I s C r e d G u a r d E n a b l e d 0 0 0 0 0 0 0 1 ` 8 0 0 3 5 c 0 8   w d i g e s t ! g _ I s C r e d G u a r d E n a b l e d   =   < n o   t y p e   i n f o r m a t i o n > 0 : 0 0 0 >
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理